Framework Nazionale per la Cybersecurity e la Data Protection invariata rispetto alla precedente versione. Infatti, come riportato in Tabella 4, questo controllo ha impatto principalmente sulla subcategory ID.GV-3, la quale, già nella precedente versione del Framework, è formulata in modo sufficientemente generale da includere sia elementi di cybersecurity che elementi di data protection (cfr. Tabella 4). Tabella 4: Relazione del Controllo Essenziale della tematica "Governance" con il Framework Nazionale per la Cybersecurity e la Data Protection. FUNCTION CATEGORY SUBCATEGORY CONTROLLO IDENTIFY (ID) Governance (ID.GV): Le politiche, le procedure e i processi per gestire e monitorare i requisiti dell'organizzazione (organizzativi, legali, relativi al rischio, ambientali) sono compresi e utilizzati nella gestione del rischio di cybersecurity. ID.GV-3: I requisiti legali in materia di cybersecurity, con l'inclusione degli obblighi riguardanti la privacy e le libertà civili, sono compresi e gestiti 5 - Sono identificate e rispettate le leggi e/o i regolamenti con rilevanza in tema di cybersecurity che risultino applicabili per l’azienda. 2.3.3 Gestione delle identità, protezione, formazione e consapevolezza I Controlli Essenziali dal 6 al 13 abbracciano le seguenti tematiche: • Protezione da malware • Gestione password e account • Formazione e consapevolezza • Protezione dei dati • Protezione delle reti Per questi controlli la relazione con il Framework Nazionale rimane invariata rispetto alla precedente versione del Framework (cfr. [4], §§3.3-3.7). Infatti, tali controlli non risultano fortemente relazionati a nessuna delle nuove subcategory che sono state introdotte. Ciò non deve far pensare, tuttavia, che tali controlli non abbiano alcuna relazione con la data protection. Infatti, la maggior parte di essi impattano su subcategory della function PROTECT e riguardano l’adozione di misure di sicurezza efficaci tanto contro il rischio cyber quanto contro quello legato alla data protection. La protezione dei dati personali, invero, non può prescindere dalla protezione dei sistemi cyber che li gestiscono. 2.3.4 Prevenzione e mitigazione Della tematica “Prevenzione e mitigazione” fanno parte gli ultimi due Controlli Essenziali. In 21